ELK日志收集、分析和展示的企业级解决方案

The stdin plugin is now waiting for input:

[INFO ] 2024-07-16 16:52:06.198 [Ruby-0-Thread-1: /usr/share/logstash/lib/bootstrap/environment.rb:6] agent - Pipelines running {:count=>1, :running_pipelines=>[:main], :non_running_pipelines=>[]}

[INFO ] 2024-07-16 16:52:06.652 [Api Webserver] agent - Successfully started Logstash API endpoint {:port=>9600}

hello world

/usr/share/logstash/vendor/bundle/jruby/2.5.0/gems/awesome_print-1.7.0/lib/awesome_print/formatters/base_formatter.rb:31: warning: constant ::Fixnum is deprecated

{

"message" => "hello world",

"host" => "apache",

"@timestamp" => 2024-07-16T08:52:19.748Z,

"@version" => "1"

}

使用 Logstash 将信息写入 Elasticsearch 中

logstash -e 'input { stdin{} } output { elasticsearch { hosts=>["192.168.137.102:9200"] } }'

对接

//结果不在标准输出显示，而是发送至 Elasticsearch 中，可浏览器访问 http://192.168.91.100:9100/ 查看索引信息和数据浏览。

logstash -e 'input { stdin{} } output { elasticsearch { hosts=>["192.168.137.102:9200","192.168.137.103:9200"]} }'

............................

[INFO ] 2024-07-16 00:50:12.096 [Api Webserver] agent - Successfully started Logstash API endpoint {:port=>9600}

# 输入信息

www.hzw.com

My Web Page!

使用配置文件

Logstash 配置文件基本由三部分组成：input、output 以及 filter（可选，根据需要选择使用）

input：表示从数据源采集数据，常见的数据源如Kafka、日志文件等 file beats kafka redis stdin

filter：表示数据处理层，包括对数据进行格式化处理、数据类型转换、数据过滤等，支持正则表达式 grok 对若干个大文本字段进行再分割成一些小字段 (?<字段名>正则表达式) 字段名: 正则表达式匹配到的内容 date 对数据中的时间格式进行统一和格式化 mutate 对一些无用的字段进行剔除，或增加字段 mutiline 对多行数据进行统一编排，多行合并或拆分

output：表示将Logstash收集的数据经由过滤器处理之后输出到Elasticsearch。 elasticsearch stdout

#格式如下：

input {...}

filter {...}

output {...}

#在每个部分中，也可以指定多个访问方式。例如，若要指定两个日志来源文件，则格式如下：

input {

file { path =>"/var/log/messages" type =>"syslog"}

file { path =>"/var/log/httpd/access.log" type =>"apache"}

vim system.conf

input {

file{

path =>"/var/log/messages"

type =>"system"

start_position =>"beginning"

# ignore_older => 604800

sincedb_path => "/etc/logstash/sincedb_path/log_progress"

add_field => {"log_hostname"=>"${HOSTNAME}"}

}

}

#path表示要收集的日志的文件位置

#type是输入ES时给结果增加一个叫type的属性字段

#start_position可以设置为beginning或者end，beginning表示从头开始读取文件，end表示读取最新的，这个要和ignore_older一起使用

#ignore_older表示了针对多久的文件进行监控，默认一天，单位为秒，可以自己定制，比如默认只读取一天内被修改的文件

#sincedb_path表示文件读取进度的记录，每行表示一个文件，每行有两个数字，第一个表示文件的inode，第二个表示文件读取到的位置（byteoffset）。默认为$HOME/.sincedb*

#add_field增加属性。这里使用了${HOSTNAME}，即本机的环境变量，如果要使用本机的环境变量，那么需要在启动命令上加--alow-env

output {

elasticsearch { #输出到 elasticsearch

hosts => ["192.168.91.100:9200","192.168.91.101:9200"] #指定 elasticsearch 服务器的地址和端口

index =>"system-%{+YYYY.MM.dd}" #指定输出到 elasticsearch 的索引格式

}

}

实际例子：

[root@localhost log]# vim /etc/logstash/conf.d/system-log.conf

input {

file {

path => "/var/log/messages"

type => "system"

start_position => "beginning"

}

}

output {

elasticsearch {

hosts => [ "192.168.137.102:9200","192.168.137.103:9200" ]

index => "system-%{+YYYY.MM.dd}"

}

}

[root@localhost conf.d]# chmod +r /var/log/messages

#添加权限

[root@localhost conf.d]# logstash -f system-log.conf

#启动logstash

[INFO ] 2024-07-16 17:10:46.203 [Api Webserver] agent - Successfully started Logstash API endpoint {:port=>9601}

刷新页面

配置nginx日志

在/etc/logstash/conf.d下配置一个nginx_log.conf

[root@localhost conf.d]# vim /etc/logstash/conf.d/nginx_log.conf

input {

file{

path => "/var/log/nginx/access_log"

type => "access"

start_position => "beginning"

}

}

output {

elasticsearch {

hosts => ["192.168.137.102:9200","192.168.137.103:9200"]

index => "nginx_access-%{+YYYY.MM.dd}"

}

}

在nginx配置文件中将日志文件格式修改为json格式

[root@localhost nginx]# vim /etc/nginx/nginx.conf

...

http {

log_format log_json '{ "@timestamp": "$time_local",

"remote_addr": "$remote_addr",

"remote_user": "$remote_user",

"server_addr": "$server_addr",

"request": "$request",

"status": "$status",

"body_bytes_sent": "$body_bytes_sent",

"http_referer": "$http_referer",

"http_user_agent": "$http_user_agent",

"request_time": "$request_time" }';

access_log /var/log/nginx/access.log log_json;

[root@apache conf.d]# chmod +r /var/log/nginx/access.log

#添加权限

[root@apache conf.d]# logstash -f nginx_log.conf

#启动logstash

[INFO ] 2024-07-16 18:10:45.710 [Api Webserver] agent - Successfully started Logstash API endpoint {:port=>9601}

安装 kibana

安装

root@localhost opt]# rpm -ivh kibana-6.7.2-x86_64.rpm

修改配置

[root@localhost opt]# cd /etc/kibana/

[root@localhost kibana]# cp kibana.yml kibana.yml.bak -a

[root@localhost kibana]# vim kibana.yml

2 server.port: 5601 #打开端口

7 server.host: "0.0.0.0" #监听端口

28 elasticsearch.hosts: ["http://192.168.137.102:9200", "http://192.168.137.103:9200"]

#el服务器地址

37 kibana.index: ".kibana" #打开索引

96 logging.dest: /var/log/ki.log #指定日志文件， 需要手动建立文件

114 i18n.locale: "zh-CN" #中文设置

[root@localhost kibana]# chown kibana:kibana /var/log/ki.log

启动 kibana

[root@localhost kibana]# systemctl enable --now kibana.service

[root@localhost kibana]# ss -nap |grep 5601

tcp LISTEN 0 128 *:5601 *:* users:(("node",pid=42235,fd=19))

访问测试

192.168.137.102:5601

建立索引